Secretos en variables, registros y artefactos

Las plataformas de canalizaciones distinguen dos clases de valores. Los secretos se guardan cifrados, no se pueden volver a leer desde la interfaz y la plataforma intenta taparlos en los registros. Las variables se guardan en claro y las lee cualquiera con acceso de lectura al repositorio. La diferencia es de diseño: una variable es para una región, una dirección o un nivel de detalle, nunca para algo que abra una puerta.

Abre el laboratorio y lee la exportación de ajustes/. Una de las variables lleva dentro una cadena de conexión con usuario y contraseña. Aunque sea del entorno de pruebas, es un hallazgo: la base de pruebas suele tener datos copiados de producción o servir de puente hacia ella, y la contraseña la ve más gente de la que debería.

La plataforma busca en el registro el valor exacto de cada secreto y lo cambia por asteriscos. No sabe reconocer el mismo valor transformado: codificado para un encabezado, metido dentro de un JSON o recortado. Su documentación lo advierte y recomienda registrar como secreto cualquier valor derivado. Por eso un paso de depuración que imprime «el token codificado» deja el valor entero en un registro que se conserva semanas.

Compara los tres registros de registros/. En dos el valor aparece tapado; en uno sale de otra forma.

Un artefacto es lo que una ejecución guarda para después: el paquete construido, un informe de pruebas. Se descarga con acceso de lectura al repositorio y se conserva el tiempo que diga la retención. Si la construcción copia la carpeta entera antes de empaquetar, un archivo de configuración local puede acabar dentro. Que el commit siguiente lo corrija no borra el artefacto viejo.

Igual que con una clave en el historial de un repositorio, borrar no es suficiente: quien ya leyó el registro o descargó el artefacto conserva el valor. La corrección es rotar lo expuesto para que el valor viejo deje de servir, y además eliminar el registro y el artefacto y cambiar el paso que los produjo. Para decidir qué rotar se mira el registro de rotaciones del cliente, nunca se prueba la credencial.